TP-Link zählt nach eigenen Angaben zu den größten Herstellern von Edge-Geräten weltweit. Die Produkte des Unternehmens werden laut TP-Link von 1,7 Milliarden Menschen in mehr als 170 Ländern genutzt. Vor diesem Hintergrund messen die Forescout-Forscher den in Omada gefundenen Schwachstellen besondere Bedeutung bei.

Die 15 offengelegten Lücken betreffen laut Forescout das Zusammenspiel von Geräten und Provisionierungsprozessen innerhalb von Omada. Die Forscher ordnen die Probleme grob vier Bereichen zu: Schwachstellen für die Übernahme und das Vortäuschen von Geräten, clientseitige Codeausführung, Offenlegung sensibler Informationen sowie Brüche bei Verschlüsselung und Vertrauenskette. Nach dem Common Vulnerability Scoring System liegen die meisten der Fehler im mittleren oder hohen Schweregrad.

Stanislav Dashevskyi betonte auf der Konferenz, entscheidend sei weniger ein einzelner Fehler als die Vielfalt der Schwachstellen. Gerade diese Bandbreite eröffne Angreifern viele Möglichkeiten, Omada-Protokolle für Angriffe wiederzuverwenden und an verschiedene Szenarien anzupassen, darunter lokale Angriffe sowie Angriffe aus dem Internet über Social Engineering.

Ein von den Forschern beschriebenes Beispiel beginnt mit fortlaufenden und damit vorhersagbaren Seriennummern von TP-Link-Geräten. Ein nicht authentifizierter externer Angreifer könnte sich dadurch als Gerät ausgeben, das kurz vor der Aufnahme in ein Omada-System steht. Über eine Race Condition ließe sich dann die Identität des Geräts vortäuschen, um sich vor dem echten Gerät mit dem Cloud-Netz des Opfers zu verbinden. Die Anmeldung wäre dabei laut Forescout mit dem TP-Link-Standardbenutzernamen „admin“ und dem Passwort „admin“ möglich.

Ist ein Angreifer erst als akzeptiertes Gerät in Omada authentifiziert, erhält er laut den Forschern Konfigurationsdaten und Geheimnisse im Klartext. Diese Informationen könnten anschließend für laterale Bewegungen genutzt werden. Zudem könne ein Angreifer die erreichte Position verwenden, um Administratoren per Phishing zur Preisgabe ihrer Zugangsdaten zu verleiten und so die Kontrolle über den gesamten Controller zu übernehmen.

Darüber hinaus skizzierte Forescout vier mögliche Angriffsszenarien für Akteure, die sich bereits innerhalb eines Netzwerks befinden. Demnach lassen sich Schwachstellen kombinieren, um sich als Client-Geräte oder Netzwerk-Controller auszugeben und anschließend Remotecodeausführung mit Root-Rechten zu erreichen. Ebenso sei es möglich, den ein- und ausgehenden Verkehr Internet-angebunder Gateways für Man-in-the-Middle-Angriffe zu steuern.

Die Untersuchung beschränkt sich nicht nur auf klassische Netzwerkkomponenten. Forescout weist darauf hin, dass TP-Link auch Smart-Home-Geräte und Überwachungskameras verkauft, die Teile derselben Infrastruktur nutzen und ähnliche Protokolle wie die Netzwerkgeräte verwenden. So fanden die Forscher etwa, dass sich TP-Link-Videomanagementsysteme ähnlich ausnutzen lassen wie Omada-Netzwerk-Controller. Dadurch könnten Angreifer Daten zwischen Kameras und Videorekordern abfangen und manipulieren.

Ein Teil der von Forescout gemeldeten Zero-Days und Angriffsketten betraf grundlegende Designentscheidungen in den zugrunde liegenden Omada-Protokollen. Deshalb waren nach Angaben der Forscher erhebliche, systemweite Änderungen nötig, um die Probleme zu beheben. Zwischen der ersten Meldung an den Hersteller und dem Zeitpunkt, zu dem alle Punkte geklärt waren, verging deutlich mehr als ein Jahr.

Forescout stellt ZTP dabei nicht grundsätzlich infrage. Francesco La Spina sagte, ZTP bleibe insgesamt vorteilhaft, weil es manuelle Arbeit reduziere, die Einführung großer Geräteflotten beschleunige und menschliche Fehler verringere. Diese Vorteile hingen jedoch von einer starken Umsetzung, Segmentierung, sauberem Umgang mit Geheimnissen und Bedrohungsmodellierung ab. Dashevskyi formulierte die zentrale Lehre noch direkter: Organisationen sollten nicht darauf vertrauen, dass die Technik einfach funktioniere und keine zugrunde liegenden Schwachstellen enthalte; „ZTP“ solle eher als „Zero-Trust Provisioning“ verstanden und auch so behandelt werden.